BTC 钱包风险检测与恢复评估 #1636

### 1. 一句话结论
这是一枚持有约 1.001 BTC、长期沉寂的 Legacy 格式比特币钱包（ID 1636），目前**尚未获得明文密码**，但链上历史显示其存在“早年转出、近年转入”的清晰轨迹，下一步最有价值的线索是围绕 2023 年那次转入来源展开。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `1AxhH9CKkP1WBoT9bF1jFQo2nEdPDooP4i`，文件名为 `8 сотня 100 / 1AxhH9CKkP1WBoT9bF1jFQo2nEdPDooP4i.dat`，格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包）。
- **资产状态**：当前余额 **1.00105254 BTC**；业务标注“余额很小”为 **否**（即余额并不算微小，值得继续跟进）。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即目前**没有**任何已确认的明文密码或助记词。
- **文件信息**：大小 90,112 字节，录入于 2026-06-23，最近一次更新 2026-08-06。
- **链上统计**（依据 `wallet_transactions.direction`）：
- 转出（send）1 笔，最后发生在 **2013-05-06**；
- 转入（receive）4 笔，最后一笔在 **2023-01-29**；
- 近 30 天转入/转出均为 0，交易跨度 3604 天（约 9.9 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初拿到的是一个约 90 KB 的 `.dat` 文件，从命名和格式判断，它属于比特币早期的 Legacy 钱包。第一步是确认文件能否被标准钱包工具识别——结果正常，且读出了主地址和余额。

随后我们拉取了该地址的链上交易摘要，发现一个很有意思的时间差：**2013 年有一笔转出，之后十年几乎静默，直到 2023 年才又出现一笔转入**。这说明这个地址并没有被完全遗忘，至少在 2023 年还有人（或某个服务）向它转过钱。

在密码层面，我们目前只做到了“确认文件结构完整、可以尝试离线验证”，但**没有任何字段表明密码已被解开**。所有关于“破解成功”的猜测都不成立，我们仍在等待有效口令或更直接的线索（比如用户提供的旧备份密码片段）。

### 4. 交易活动解读（严格区分转入/转出）
- **转出（send）**：仅 1 笔，发生在 **2013-05-06**。这是该地址最早的动作之一，可能代表原始持有者在当年进行了部分支付或归集。
- **转入（receive）**：共 4 笔，最后一笔在 **2023-01-29**。其中最近的一笔转入是距离现在最近的活动，但**我们不知道这笔转入的对手方是谁、金额多大**（当前数据未提供逐笔金额与对手地址）。
- **近期动态**：近 30 天无任何转入/转出，说明当前处于完全静默状态。
- **未知项**：4 笔转入的具体时间分布、金额、对手方地址均未同步，需补充 `wallet_transactions` 明细字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 **1.00105254 BTC**，业务标注“余额很小”为 **否**——即它不属于“零钱/灰尘”级别，仍具备实际价值，值得继续投入分析。
- **明文密码**：强证据字段明确为 **否**。因此我们必须如实说明：**尚未获得任何明文密码、助记词或私钥**。所有关于“已解开”的说法均不属实，当前仍处于“有文件、无口令”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充 2023-01-29 那笔转入的完整交易哈希与对手地址**——这是最近一次活动，极可能关联到钱包当前控制者或找回线索。
2. **调取 4 笔转入的逐笔金额与时间戳**，用于判断是“个人充值”还是“服务商付款”。
3. **查找该地址在 2013 年转出时的找零地址**，可能关联到同一控制人下的其他钱包文件。
4. **核对钱包文件名中的 `8 сотня 100` 是否为业务编号或分组标签**，可能对应某批历史钱包清单。
5. **检索同一数据集目录下是否有同批次（MEGA-BONUS 表）的其他 `.dat` 文件**，用于横向比对命名规律。
6. **尝试从用户处获取该钱包的“旧密码片段”或“常用口令历史”**（仅限用户主动提供，不做猜测）。
7. **检查文件修改时间与录入时间差**（2026-06-23 录入 vs 2026-08-06 更新），确认是否有外部工具访问痕迹。
8. **补充该地址在 2013 年之前的“创世交易”信息**，确认币的最初来源（矿池、交易所提现等）。

### 7. 已尝试方向回顾（避免重复投入）
- **文件格式识别与加载验证**：已确认是 `bitcoin_legacy_bdb`，可被标准工具读取，无需重复检查文件头。
- **基础链上统计**：已拉取转入/转出笔数与时间跨度，但**未拉取逐笔明细**，所以不要再做“只统计笔数”的工作，直接进入明细分析。
- **密码状态确认**：已核实 `cracked_password` 为否，**不要再次假设“可能已经破解”**，应把精力放在寻找用户侧线索或补充交易对手信息上。
- **余额价值判断**：已确认余额不小，**无需再次评估“是否值得做”**，直接进入线索补充阶段。